Política de privacidade do NSO CRM
Versão: 1.1 (30/10/2026) · Vigência: 28/10/2026; a parte sobre dados anonimizados e agregados (Termos, itens 3.2 a 3.4) vale 15 dias depois do aviso ao administrador da conta
Esta política explica como o NSO CRM trata dados pessoais. Ela vale para duas situações diferentes:
- Usuários do NSO CRM (advogados, equipe do escritório, agências parceiras): a NSO Marketing é a controladora dos dados da conta de cada usuário.
- Leads dos escritórios (pessoas que falam com o escritório pelo WhatsApp, formulário ou anúncio): o escritório é o controlador e a NSO é a operadora. Quem quiser exercer direitos sobre esses dados deve falar com o escritório; a NSO ajuda o escritório a atender (seção 7).
Controladora (contas de usuário) e operadora (dados dos leads): Nso Marketing LTDA, CNPJ 48.960.327/0001-31, Avenida Senador Tarso Dutra, 605, Sala 1302/1303, Petrópolis, Porto Alegre/RS, CEP 90690-140. Encarregado (DPO): Encarregado de Dados da NSO Marketing · equipe@nsomkt.com.br.
1. Dados das contas de usuário (NSO controladora)
| Dado | Para quê | Base legal (LGPD art. 7º) |
|---|---|---|
| Nome, e-mail, telefone, foto (opcional) | Criar e manter a conta, identificar quem fez cada ação | Execução de contrato |
| Senha (guardada só em hash pelo provedor de login) e fatores de 2FA | Autenticação | Execução de contrato; segurança |
| Registros de acesso: data e hora, ações feitas, IP e navegador | Auditoria e segurança, prevenção a fraude, Marco Civil da Internet | Obrigação legal; legítimo interesse |
| Erros técnicos (sem dados pessoais) | Corrigir falhas | Legítimo interesse |
| Dados de cobrança da organização | Faturamento | Execução de contrato |
2. Dados dos leads (escritório controlador, NSO operadora)
O NSO CRM guarda, em nome do escritório: nome e telefone do contato (ou o identificador do WhatsApp), as conversas e mídias do WhatsApp do número do escritório, a etapa no funil, vendas registradas, observações e comentários da equipe, a origem do contato (campanha, parâmetros UTM, identificadores de clique de anúncios) e, se a IA estiver ligada, a análise da conversa. O escritório define a base legal e informa os seus contatos.
As conversas com um escritório podem conter dados sensíveis (saúde, situação familiar, processos). O NSO CRM não pede esses dados, mas guarda o que a pessoa escreve. Cada escritório orienta sua equipe a pedir só o necessário para o atendimento.
Dados anonimizados e agregados para melhorar o serviço. Para a Atendente IA melhorar para todos os escritórios, a NSO usa a experiência das conversas sem identificar ninguém (Termos de uso, itens 3.2 a 3.4):
- só saem da base de cada escritório números somados (conversas, reuniões marcadas, comparecimentos, contratos, notas de qualidade) e lições e trechos curtos anonimizados, em que nomes, nome do escritório, telefones, e-mails, documentos (CPF, CNPJ, RG, OAB, número de benefício, número de processo), endereços, cidades, datas exatas, valores e links viram marcadores como "[NOME]"; dado sensível é generalizado ("problema de saúde") ou descartado; o que ainda parecer dado pessoal é descartado antes de ser guardado;
- essa base não guarda o identificador do contato, da mensagem nem da conversa de onde o trecho veio, nem a hora; ela é vista só pela NSO, em números por área do direito, sem identificar o escritório;
- para medir a qualidade do atendimento, as conversas da Atendente IA podem ser revisadas por um modelo de inteligência artificial (OpenAI), com os dados pessoais mascarados antes do envio; o resultado (notas e tipos de erro) fica na conta do escritório;
- o escritório pode pedir para não contribuir; a exclusão do escritório, do contato ou a anonimização do titular apagam as lições que vieram deles. Dados anonimizados de forma que não permitam identificar a pessoa não são dados pessoais (LGPD, art. 12).
Dados do Google Agenda
Quando um escritório conecta o Google Agenda do advogado à Atendente IA, o NSO CRM acessa somente: (1) a informação de livre/ocupado das agendas, para oferecer horários disponíveis; (2) os eventos de reunião que o próprio NSO CRM cria, para marcar, mover e cancelar essas reuniões com link do Google Meet; (3) a lista de agendas, para o escritório escolher onde as reuniões entram; e (4) o e-mail da conta conectada. O NSO CRM não lê o conteúdo de outros compromissos, não usa esses dados para publicidade, não os vende nem repassa a terceiros, e não os usa para treinar modelos de IA. O uso das informações recebidas das APIs do Google segue a Política de Dados do Usuário dos Serviços de API do Google, incluindo os requisitos de Uso Limitado. O escritório pode desconectar a qualquer momento no NSO CRM ou em myaccount.google.com/permissions.
3. Com quem compartilhamos
Só com os fornecedores necessários para o serviço (suboperadores), listados em a lista de fornecedores, disponível a pedido: Supabase (banco, no Brasil), Vercel (hospedagem, no Brasil), o servidor do WhatsApp da NSO, Meta e Google (só com as integrações ligadas pelo escritório, com dados em hash quando possível), OpenAI e Groq (só com a IA ligada), Sentry (erros sem dados pessoais) e Cloudflare (verificação contra robôs). Não vendemos dados.
4. Transferência internacional
Parte dos fornecedores fica nos Estados Unidos (e a Meta também na Irlanda). Essas transferências seguem o art. 33 da LGPD, com cláusulas contratuais e garantias oferecidas por cada fornecedor.
5. Por quanto tempo guardamos
| Dado | Prazo |
|---|---|
| Leads, conversas, mensagens, vendas e histórico | Enquanto o escritório for cliente; ou o prazo de retenção de conversas que o escritório definir (6 a 120 meses) |
| Mídias do WhatsApp (fotos, áudios, documentos) | 365 dias por padrão (o escritório pode escolher de 30 a 3.650 dias); depois o arquivo é apagado |
| Cliques em links rastreáveis que não viraram contato | 90 dias |
| Notificações do sistema | 90 dias |
| Registros de erro | 90 dias (incidentes resolvidos: 1 ano) |
| Registros de uso da IA e coletas do Google Ads | 13 meses |
| Lições e trechos anonimizados da melhoria do serviço | 2 anos (ou até o pedido do escritório, a exclusão do contato ou da conta) |
| Versões da Atendente IA usadas em cada resposta (sem texto) | 400 dias |
| Eventos de conexão do WhatsApp | 12 meses |
| Registros de auditoria | 24 meses; o IP é reduzido à rede depois de 6 meses |
| Cópias de segurança do banco | 7 dias |
A limpeza é automática, todos os dias, e cada rodada fica registrada na auditoria com as quantidades apagadas.
6. Como protegemos
Separação entre clientes no próprio banco de dados (cada escritório só enxerga os seus dados), verificação em duas etapas obrigatória para administradores, credenciais de integrações criptografadas, IP de visitantes guardado só em hash, armazenamento privado das mídias, política de segurança de conteúdo no navegador, limite de tentativas nas rotas sensíveis e registro de auditoria que não pode ser alterado.
7. Seus direitos (LGPD art. 18)
Você pode pedir: confirmação de que tratamos seus dados, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre compartilhamento e revisão de decisões automatizadas.
- Usuários do NSO CRM: peça pelo equipe@nsomkt.com.br. Dados de perfil podem ser corrigidos na própria tela de Perfil.
- Leads de um escritório: fale com o escritório. No NSO CRM, a equipe do escritório tem o cartão "Privacidade (LGPD)" (Configurações › Escritório), que localiza o titular pelo telefone e permite exportar os dados (arquivo JSON), anonimizar (apaga nome, telefone, conteúdo das mensagens e mídias, mantendo só os números agregados) ou excluir definitivamente. Cada exportação e anonimização fica na auditoria.
Respondemos em até 15 dias. Você também pode reclamar à ANPD.
8. Cookies
O NSO CRM usa cookies essenciais de sessão (para manter você conectado) e de preferência (tema claro ou escuro). Não usa cookies de publicidade. A verificação contra robôs (Cloudflare Turnstile) roda nas telas de login e cadastro.
9. Mudanças
Mudanças relevantes nesta política são avisadas no próprio sistema e por e-mail aos administradores.